CVE-2023-27351: Authentifizierungsumgehung in PaperCut NG, aktiv ausgenutzt

CVE-2023-27351: Authentifizierungsumgehung in PaperCut NG, aktiv ausgenutzt

In Kürze

PaperCut NG 22.0.5 (Build 63914) enthält eine schwerwiegende Schwachstelle, die es einem entfernten Angreifer ermöglicht, auf das Druckmanagementsystem zuzugreifen, ohne Benutzername oder Passwort zu benötigen [1]. Die Schwachstelle, identifiziert als CVE-2023-27351, hat eine CVSS-Bewertung von 7,5 (Schweregrad hoch laut NVD) [1] und ist im Katalog bekannter ausgenutzter Schwachstellen (KEV) der CISA gelistet [2], was bestätigt, dass sie bei realen Angriffen eingesetzt wurde. Falls Ihre Organisation PaperCut NG einsetzt, besteht die vorrangige Maßnahme darin, das Update des Herstellers unverzüglich anzuwenden.

---

Was es ist und warum es wichtig ist

PaperCut ist eine der am weitesten verbreiteten Druckmanagement-Plattformen in Unternehmens-, Bildungs- und Gesundheitsumgebungen. CVE-2023-27351, veröffentlicht am 20. April 2023 [1], legt einen Designfehler in der Klasse SecurityRequestFilter von PaperCut NG offen: Die Authentifizierungslogik ist fehlerhaft implementiert, was es einem externen Angreifer ermöglicht, sie vollständig zu umgehen, ohne irgendeine Anmeldeinformation vorzulegen [1].

Geschäftlich bedeutet dies, dass jede Person mit Netzwerkzugriff auf den PaperCut-Server mit dem Druckverwaltungspanel interagieren könnte, als wäre sie ein legitimer Administrator. Der anmeldedatenlose Zugriff auf Druckmanagementsysteme kann Dokumente in der Warteschlange, interne Netzwerkkonfigurationen, Benutzerdaten offenlegen und, je nach Umgebung, als Einstiegspunkt zu umfassenderen Unternehmenssystemen dienen.

Unser Threat-Intelligence-Team bei OCIRIA stuft diese Schwachstelle als kritisch in Bezug auf das operative Risiko ein – eine eigene Einschätzung, die die potenziellen Auswirkungen auf reale Unternehmensumgebungen widerspiegelt und über die offizielle numerische NVD-Bewertung hinausgeht (CVSS 7,5, Schweregrad hoch) [1]. Diese Unterscheidung ist wichtig: Die NVD-Bewertung misst technische Merkmale des Fehlers; unsere Einschätzung berücksichtigt zudem den Kontext bestätigter aktiver Ausnutzung [2] und die Verbreitung des Produkts in kritischen Infrastrukturen.

---

Wen betrifft es

Die offizielle Beschreibung der NVD nennt als betroffene Version PaperCut NG 22.0.5 (Build 63914) [1]. Wenn Ihre Organisation genau diese Version des Produkts des Herstellers PaperCut verwendet, sollten Sie sich als gefährdet betrachten, bis der entsprechende Patch angewendet wurde.

Besonders exponierte Profile:

• Unternehmen mit verwalteten Druckerflotten, die über einen im Netzwerk erreichbaren PaperCut-Server betrieben werden.
• Bildungseinrichtungen und Universitäten, wo PaperCut sehr weit verbreitet ist.
• Gesundheitswesen und öffentliche Verwaltung mit zentralisierten Druckinfrastrukturen.
• Organisationen, bei denen der PaperCut-Server – auch nur teilweise – Netzwerken ausgesetzt ist, die nicht vollständig isoliert sind.

---

Wie Sie feststellen, ob Sie betroffen sind

Der erste Schritt besteht darin, festzustellen, ob PaperCut NG in Ihrer Infrastruktur installiert ist und welche genaue Version und welcher Build in Produktion laufen. Die Versionsinformation ist in der Regel im PaperCut-Administrationspanel selbst verfügbar oder kann beim für das Druckmanagement zuständigen IT-Team erfragt werden.

Prüfen Sie speziell, ob die installierte Version 22.0.5, Build 63914 [1] ist. Zudem sollten Sie Folgendes überprüfen:

• Ob der Administrationsport von PaperCut aus anderen Netzwerken als dem internen Verwaltungsnetzwerk erreichbar ist.
• Ob es kürzlich ungewöhnliche Zugriffe oder Verbindungen in den Protokollen des Druckservers gab.
• Ob der PaperCut-Server direkt oder indirekt dem Internet ausgesetzt ist.

Die Überprüfung der exponierten Angriffsfläche Ihrer Infrastruktur ist entscheidend, um den tatsächlichen Umfang des Risikos in Ihrem konkreten Fall zu verstehen.

---

Wie Sie sich schützen können

1. Aktualisieren Sie PaperCut NG umgehend. Wenden Sie die vom Hersteller PaperCut bereitgestellte korrigierte Version an. Konsultieren Sie den offiziellen Update-Kanal von PaperCut und folgen Sie dessen Installationsanweisungen.

2. Beschränken Sie den Zugriff auf das Administrationspanel. Begrenzen Sie die Exposition des PaperCut-Servers auf die unbedingt notwendigen Netzwerke und Benutzer mittels Firewall-Regeln oder Netzwerksegmentierung.

3. Überprüfen Sie die Zugriffsprotokolle. Da die Schwachstelle im KEV-Katalog der CISA gelistet ist [2], ist die Ausnutzung in realen Umgebungen bestätigt. Analysieren Sie kürzliche Zugriffe auf den Druckserver auf nicht autorisierte Aktivitäten.

4. Richten Sie Überwachungswarnungen ein. Konfigurieren Sie Warnmeldungen bei ungewöhnlichen Zugriffen oder unerwarteten Konfigurationsänderungen im PaperCut-System.

5. Informieren Sie die Geschäftsverantwortlichen. Falls der Update-Prozess ein Wartungsfenster erfordert, informieren Sie die Unternehmensleitung über das bestehende Risiko, damit eine fundierte Entscheidung über die Dringlichkeit getroffen werden kann.

---

Häufig gestellte Fragen

Muss der Angreifer Zugriff auf das interne Netzwerk haben?

Nicht zwingend. Wenn der PaperCut-Server in irgendeiner Form extern exponiert ist oder sich der Angreifer bereits im Unternehmensnetzwerk befindet, sind keine Anmeldedaten erforderlich, um die Schwachstelle auszunutzen [1].

Betrifft es auch PaperCut MF?

Die offizielle Beschreibung der NVD bezieht sich explizit auf PaperCut NG 22.0.5 (Build 63914) [1]. Unser internes Radar weist darauf hin, dass der Kontext des Fehlers möglicherweise auch für MF-Umgebungen relevant sein könnte, wir empfehlen jedoch, direkt die offiziellen Sicherheitshinweise von PaperCut zu konsultieren, um den genauen Umfang für Ihre Installation zu bestätigen.

Was bedeutet die Aufnahme in den KEV-Katalog der CISA?

Der KEV-Katalog (Known Exploited Vulnerabilities) der CISA sammelt Schwachstellen, für die Belege einer aktiven Ausnutzung in der realen Welt vorliegen [2]. Die Aufnahme in diese Liste ist nicht theoretisch: Sie zeigt, dass die Schwachstelle bei dokumentierten Angriffen eingesetzt wurde, was die Dringlichkeit des Handelns erhöht.

Reicht das Patchen aus?

Das Anwenden des Updates schließt den Angriffsvektor, es wird jedoch empfohlen, zusätzlich eine Überprüfung historischer Zugriffe durchzuführen, um auszuschließen, dass die Schwachstelle bereits vor der Anwendung des Patches ausgenutzt wurde.

Quellen

• [1] NVD — Offizieller Eintrag zu CVE-2023-27351: nvd.nist.gov/vuln/detail/CVE-2023-27351
• [2] CISA — Katalog bekannter ausgenutzter Schwachstellen (KEV): cisa.gov/known-exploited-vulnerabilities-catalog